AUDITORIA DE SISTEMAS

AUDITORIA DE SISTEMAS

1. VULNERABILIDAD

   • ¿QUE ES?
     • Es una debilidad presente en un sistema operativo, software o sistema que le permite alterar el funcionamiento, control y integridad.
   • TIPOS
     • VULNERABILIDAD DE DESBORDAMIENTO DE BUFFER
       • Esta condicion se cumple cuando una aplicacion no es capaz de controlar la cantidad de datos que se copian al buffer, ya que esta cantidad es superior a la capacidad del buffer, este problema se puede aprovechar para ejecutar codigo con privilegios de administrador
     • VULNERABILIDAD DE CONDICION DE CARRERA
       • esta condicion se cumple cuando varios procesos tienen acceso a un recurso compartido de forma simultanea, ejemplo cambiando su estado y obteniendo de esta forma un valor no esperado de la misma
     • VULNERABILIDAD DE ERROR DE FORMATO DE CADENA
       • Esta vulnerabilidad se da por descuidos en la programacion de la aplicacion y esta vulnerabilidad se da en C/C++, es un ataque perpetrado que lleva a un codigo arbitratio y al robo de la informacion y datos del usuario
     • VULNERABILIDAD DE CROSS SITE SCRIPTING
       • es la tencica llamada Phishing, la cual consiste basicamente en la suplantacion de un sitio web haciendo parecer al usuario que es real y ahi es donde ocurre el robo de informacion, para que no ocurran estas vulnerabiliddes el sitio debe estar bien protegido
     • VULNERABILIDAD DE INYECCION SQL
       • Se producen cuando mediante alguna tecnica se inserta codigo SQL que no formaba parte de un codigo SQL programado. Esta tecnica se utliza para alterar el funcionamiento de la base de datos de una aplicacion.
     • VULNERABILIDAD DE DENEGACION DEL SERVICIO
       • Se utiliza con el proposito de que los usuarios no puedan utilizar un servicio, aplicacion o recurso, esto produce un ataque de denegacion de servicio es la perdida de la conectividad de la red de la victima
     • VULNERABILIDAD DE VENTANAS ENGAÑOSAS
       • Es la mas comun entre los usuarios esta tecnica es conocida como WindowSpoofing permite que un atacante muestre ventanas o mensajes de notificaciones en la computadora de la victima para ahcernos saber de que nos hemos ganado un premio o algo similar

2. TIPOS DE CONTROLES

   • CONTROLES MANUALES: Aquellos que son ejecutados por el personal del area usuaria o de informatica sin la utilizacion de herramientas computacionales
     • CONTROLES AUTOMATICOS: Son generalmente los incorporados en el software, llamense estos de operacion, comunicacion, gestion de bases de datos.
       • SEGUN SU FINALIDAD SE CLASIFICAN
         • CONTROLES PREVENTIVOS: Para tratar de evitar la produccion de errores o hechos fraudulentos.
         • CONTROLES CORRECTIVOS: Tratan de asegurar que se subsanen todos los errores identificados mediante los controles detectivos.
         • CONTROLES DETECTIVOS: Trata de descubrir a posterior errores o fraudes que no haya posible evitarlos con controles preventivos

3. AMENAZA INFORMATICA

   • SE CLASIFICAN EN:
     • INTERCEPCION
       • Cuando una persona, programa o proceso logra el acceso a una parte del sistema a la que no esta autorizada
     • MODIFICACION
       • Este tipo de amenaza se trata no solo de acceder a una parte del sistema a la que no se tiene autorizacion, sino tambien de cambiar su contenido o modo de funcionamiento
     • INTERRUPCION
       • Se trata de la interrupcion mediante el uso de algun metodo el funcionamiento del sistema
     • GENERACION
       • Genralmente se refiere a la posibilidad de añadir informacion a programas no autorizados en el sistema

4. RIESGO INFORMATICO

   • RIESGO DE INTEGRIDAD
     • Aqui estan todos los riesgos asociados con la autorizacion, completitud y exactitud de la entrada, procesamiento y reportes de las aplicaciones informaticas utilizadas en una organizacion.
   • RIESGO DE RELACION
     • Se refieren al uso oportuno de la informacion creada por una aplicacion y estan relacionados directamente con la informacion de toma de decisiones
   • RIESGO DE ACCESO
     • Se enfocan en el inapropiado acceso a sistemas, datos e informacion, dentro de estos riesgos se encuentran los riesgos de segregacion inapropiada de funciones en el trabajo.
   • RIESGO DE UTILIDAD
     • Estan enfocados en tres diferentes niveles de riesgo, los riedsgos que pueden ser enfrentados por el direccionamiento de sistemas antes de que los problemas ocurran, las tecnicas de recuperacion/restauracion usadas para minimizar la ruptura de los sistemas
   • RIESGO EN LA INFRAESTRUCTURA
     • Estan relacionados con la no existencia de una estructura de informacion tecnologica efectiva (hardware, software, redes, personas y procesos) para soportar adecuadamente las necesidades presentes y futuras de la organizacion con un costo eficiente